Introduction : la consultation qui ne s'arrête jamais
Vous entrez dans un cabinet médical. Douze minutes plus tard, vous ressortez avec une ordonnance. Vous avez le sentiment d'avoir eu une conversation privée, protégée par un secret vieux de vingt-cinq siècles.
Pendant ces douze minutes, une plateforme de prise de rendez-vous a enregistré votre nom, votre numéro de téléphone, la spécialité consultée et l'horaire. Un logiciel métier a créé une ligne dans une base hébergée on ne sait où. Une feuille de soins électronique est partie vers votre caisse d'assurance maladie, puis vers votre mutuelle. Votre passage en pharmacie a inscrit le nom de la molécule dans un dossier pharmaceutique. Votre téléphone, resté dans votre poche, a enregistré une position à cette adresse — et si vous aviez cherché « symptômes » la veille au soir sur un navigateur ordinaire, un régie publicitaire en sait déjà quelque chose.
Nous avons déjà écrit ici sur les traces de vos paiements et sur celles de vos communications. Les données de santé forment une troisième couche, et de loin la plus sensible : le RGPD les classe parmi les données « particulières » de l'article 9, au même titre que les opinions politiques ou l'orientation sexuelle. Elles ne se périment pas, elles ne se rétractent pas, et elles racontent une histoire qu'aucun employeur, aucun assureur, aucun proche ne devrait pouvoir lire par accident.
Ce guide n'invite pas à fuir le système de soins — ce serait absurde et dangereux. Il propose de savoir qui voit quoi, ce que la loi impose réellement, et quels gestes simples réduisent la surface d'exposition sans nuire à votre suivi médical.
Cartographie : les sept endroits où atterrit votre santé
1. Le dossier du praticien
C'est le socle. Le médecin est tenu de conserver un dossier ; en pratique, il vit dans un logiciel de gestion de cabinet. Ces éditeurs hébergent de plus en plus en mode « cloud », ce qui impose en France une certification HDS (Hébergeur de Données de Santé) délivrée sous le contrôle de l'Agence du Numérique en Santé. C'est une vraie garantie technique — pas une garantie d'étanchéité absolue.
2. L'Assurance maladie
La feuille de soins électronique transmet à votre caisse : identité, praticien, actes cotés, date. Les remboursements figurent dans votre compte Ameli. Cette base est l'une des plus riches d'Europe ; ses données pseudonymisées alimentent le Système National des Données de Santé (SNDS), dont l'accès pour la recherche est encadré par la CNIL et le Health Data Hub.
3. Votre mutuelle ou complémentaire
C'est le maillon le plus souvent sous-estimé. Une complémentaire reçoit, pour rembourser, des informations de nature médicale. Elle ne doit connaître que ce qui est nécessaire au calcul du remboursement, et la CNIL a rappelé à plusieurs reprises que la collecte du détail des pathologies par les organismes complémentaires est strictement bornée. En pratique, la nature de l'acte (consultation de spécialiste, appareillage, séance de psychologue) reste très parlante.
4. La pharmacie et le dossier pharmaceutique
Chaque délivrance peut être inscrite dans le Dossier Pharmaceutique, géré par l'Ordre national des pharmaciens, pour détecter les interactions médicamenteuses. Utile — et refusable : son ouverture requiert votre consentement, et vous pouvez demander sa clôture.
5. Mon espace santé
Ouvert par défaut depuis 2022 pour tous les assurés, il centralise documents, comptes rendus, ordonnances. Vous pouvez masquer un document à certains professionnels, refuser l'alimentation automatique, ou clôturer entièrement le service. Peu de gens savent que ces trois options existent.
6. Les plateformes de rendez-vous et de téléconsultation
Elles ne sont pas des professionnels de santé mais des sous-traitants techniques. Elles savent qui consulte qui, quand et pour quelle spécialité. Le simple fait de prendre rendez-vous en addictologie, en psychiatrie ou dans un centre de dépistage est en soi une donnée de santé.
7. Vos applications et objets connectés
C'est le trou noir. Une application de suivi du cycle menstruel, un traqueur de sommeil, une balance connectée, un carnet de glycémie : la plupart ne sont pas des dispositifs médicaux et n'ont aucune obligation d'hébergement certifié. Leurs politiques de confidentialité autorisent souvent le partage avec des « partenaires » analytiques.
Ce que le secret médical protège — et ce qu'il ne protège pas
Le secret professionnel est défini par l'article L.1110-4 du Code de la santé publique et sanctionné pénalement (article 226-13 du Code pénal). Il est général et absolu : il couvre tout ce que le professionnel a vu, entendu ou compris.
Mais il protège les personnes, pas les infrastructures. Trois angles morts méritent d'être connus :
Le secret médical n'empêche ni le partage entre soignants d'une même équipe de soins, ni la transmission de données administratives aux organismes payeurs, ni les fuites consécutives à une intrusion informatique dans un système hospitalier.
Le partage en équipe de soins. Les professionnels qui participent à votre prise en charge peuvent échanger les informations « strictement nécessaires ». Vous pouvez vous y opposer, information par information.
Les cyberattaques. Les hôpitaux français ont été visés à répétition ces dernières années, et l'ANSSI publie régulièrement des bilans alarmants sur la filière santé. En 2021, la fuite de résultats de laboratoires d'analyses concernant des centaines de milliers de personnes a montré que les données publiées ne se rappellent jamais.
Les tiers non soignants. L'employeur, l'assureur emprunteur, le bailleur, l'administration sociale : aucun n'a droit au diagnostic. Le médecin du travail lui-même ne transmet à l'employeur qu'un avis d'aptitude, jamais un motif.
Les demandes abusives : la liste de ce que vous pouvez refuser
| Qui demande | Ce qu'il peut légitimement obtenir | Ce que vous pouvez refuser |
|---|---|---|
| Employeur | Un arrêt de travail sans motif, un avis d'aptitude | Le diagnostic, le nom du médecin traitant, un certificat détaillé |
| Assureur emprunteur | Un questionnaire de santé (encadré, avec droit à l'oubli) | Un accès direct à votre dossier ou à Mon espace santé |
| Mutuelle | Les données nécessaires au remboursement | Le détail des pathologies hors nécessité |
| Bailleur | Rien du tout | Absolument tout |
| Plateforme de RDV | Vos coordonnées et le motif de consultation | La création d'un compte publicitaire, le marketing ciblé |
| Salle de sport, coach | Rien de médical | Le certificat détaillé, l'accès à vos données d'objets connectés |
Sur les assurances emprunteur, rappelons la loi Lemoine de 2022 : suppression du questionnaire de santé pour de nombreux prêts immobiliers sous conditions de montant et d'âge de fin de remboursement, et raccourcissement du droit à l'oubli oncologique à cinq ans. Une avancée majeure de vie privée que beaucoup d'emprunteurs ignorent encore.
Le maillon faible : votre téléphone et vos recherches
Avant de voir un médecin, on cherche. Et cette recherche précède le diagnostic, parfois de plusieurs semaines.
Une requête sur un symptôme intime, tapée sur un navigateur ordinaire, connecté à un compte, sur un réseau domestique identifiable, est un événement daté et attribuable. Trois habitudes changent radicalement la donne :
- Séparer le navigateur de santé du reste. Un navigateur dédié aux recherches sensibles, sans compte connecté, avec un moteur qui ne conserve pas d'historique lié à un identifiant. Le principe de compartimentage que nous détaillons ailleurs sur ce site s'applique intégralement ici.
- Se méfier du forum public. Décrire ses symptômes sous un pseudonyme réutilisé ailleurs revient à publier son dossier. Un pseudonyme de santé doit être un pseudonyme jetable et unique.
- Vérifier avant de croire. Les sources fiables existent : Ameli, la Haute Autorité de Santé, Vidal, Santé publique France, l'ANSES pour l'alimentation et les expositions environnementales. Pour les lecteurs qui veulent un point d'appui hors ligne, un dictionnaire médical familial en version papier reste étonnamment efficace et ne transmet strictement rien à personne.
Pensez aussi aux notifications. Un rappel de prise de traitement qui s'affiche en clair sur l'écran verrouillé, dans une salle de réunion, est une divulgation. Le réglage « masquer le contenu des notifications sensibles » existe sur les deux systèmes mobiles majeurs ; il prend trente secondes.
Téléconsultation : la pièce, pas seulement la plateforme
La téléconsultation a déplacé le cabinet médical dans votre salon — avec les fuites propres au salon.
- Le décor parle. Un fond flou ou neutre évite de livrer l'intérieur de votre logement, la présence d'enfants, votre niveau de vie. Une cloison de bureau pliable ou un simple fond uni suffisent.
- Le son voyage. Dans un appartement ou un open space, un casque à réduction de bruit avec micro directionnel protège autant votre confidentialité que celle de vos voisins.
- La caméra du portable est toujours allumée quelque part. Un cache webcam adhésif, à deux euros, règle définitivement la question quand la consultation est terminée.
- Le réseau compte. Éviter le Wi-Fi public pour une consultation médicale relève du bon sens ; la 4G/5G de votre opérateur est généralement préférable.
Vérifiez enfin que la plateforme utilisée est bien un hébergeur certifié HDS et qu'elle affiche un correspondant à la protection des données. Les plateformes sérieuses le mentionnent noir sur blanc.
Applications de santé : la question à se poser avant d'installer
Une application de suivi menstruel, de fertilité, d'humeur ou d'addiction collecte des données qui, dans certains contextes juridiques étrangers, ont déjà servi de preuve. La question n'est pas théorique.
Trois critères de tri, dans l'ordre :
- Les données restent-elles sur l'appareil ? Les applications proposant un stockage 100 % local, sans compte, sans synchronisation, existent dans presque toutes les catégories. Elles sont le choix par défaut raisonnable.
- Y a-t-il un modèle économique visible ? Une application gratuite, sans publicité affichée, sans abonnement, se finance forcément d'une manière. La revente de données agrégées est le modèle le plus courant.
- La suppression est-elle effective ? Le RGPD vous donne un droit à l'effacement. Testez-le avant d'accumuler trois ans d'historique.
Pour beaucoup d'usages, l'alternative analogique reste imbattable. Un carnet de suivi de tension papier posé à côté d'un tensiomètre de bras homologué produit exactement la même valeur médicale qu'une application connectée, sans compte, sans cloud, sans conditions générales. Votre médecin lit très bien un tableau manuscrit.
Vos droits, concrètement, et comment les exercer
Le RGPD et le Code de la santé publique vous donnent des leviers réels. Encore faut-il les activer.
Accéder à votre dossier médical
Vous pouvez demander la communication intégrale de votre dossier au praticien ou à l'établissement, par courrier recommandé, avec copie d'une pièce d'identité. Le délai légal est de huit jours (deux mois pour les informations de plus de cinq ans). Aucun motif à fournir.
Reprendre la main sur Mon espace santé
Dans le service, trois actions clés : masquer un document à l'ensemble des professionnels, bloquer l'accès d'un professionnel identifié, ou clôturer le profil. La clôture n'efface pas les remboursements de l'Assurance maladie, mais elle supprime la centralisation documentaire.
Fermer un dossier pharmaceutique
Demande orale ou écrite en pharmacie. Le pharmacien est tenu d'y donner suite.
Vous opposer au partage en équipe de soins
Formulez-le explicitement, oralement puis par écrit dans le dossier : « je m'oppose à la transmission de telle information à tel professionnel ». Le refus doit être tracé.
Saisir la CNIL
En cas de collecte abusive — mutuelle exigeant un diagnostic, employeur réclamant un certificat détaillé, application refusant l'effacement — la plainte en ligne auprès de la CNIL est gratuite et donne lieu à instruction.
Les papiers aussi : le maillon oublié
On protège des serveurs et on laisse traîner des ordonnances.
Résultats d'analyses reçus par courrier, comptes rendus d'imagerie, feuilles de remboursement, notices de traitement : tout cela s'entasse dans un tiroir puis part à la poubelle, intact, dans un sac transparent posé sur le trottoir. Le tri des déchets a rendu la fouille documentaire plus facile qu'elle ne l'a jamais été.
Un destructeur de documents à coupe croisée règle le problème en quelques secondes par feuille — et sert aussi pour les relevés bancaires et les courriers administratifs. Pour ce qui doit être conservé (dossiers d'ALD, suivis longue durée, radios), une pochette classeur à fermeture rangée hors des espaces communs vaut mieux qu'une pile sur le buffet du salon.
Enfin, un conseil rarement donné : évitez d'écrire un motif médical dans le champ « libellé » d'un virement ou d'un paiement. Cette ligne survivra dix ans dans une base bancaire que nous avons déjà décrite ailleurs sur ce site.
Un protocole en dix points
- Un navigateur dédié, sans compte, pour toute recherche de symptôme.
- Un pseudonyme unique et jetable pour tout forum ou groupe d'entraide.
- Notifications sensibles masquées sur l'écran verrouillé.
- Applications de santé : stockage local par défaut, sinon rien.
- Mon espace santé : configuration active, pas subie.
- Dossier pharmaceutique : ouvert en connaissance de cause, fermable.
- Téléconsultation : fond neutre, casque, réseau maîtrisé, plateforme HDS.
- Refus documenté des demandes non fondées (employeur, bailleur, mutuelle).
- Papiers médicaux détruits, pas jetés.
- Aucun motif médical dans un libellé bancaire, un objet de mail ou un SMS non protégé.
Conclusion : la confidentialité fait partie du soin
Un patient qui craint que ses confidences sortent du cabinet dit moins de choses à son médecin. C'est vrai pour la santé mentale, l'addiction, la sexualité, la violence intrafamiliale. La confidentialité n'est donc pas une préoccupation périphérique de militant : c'est une condition de qualité du soin, reconnue comme telle par le législateur depuis la loi Kouchner de 2002.
Le paradoxe de 2026 est que les outils qui fluidifient le parcours de soin — plateformes, applications, dossiers partagés — sont aussi ceux qui dispersent l'information. La réponse n'est ni le refus global ni la résignation, mais un usage éclairé : accepter ce qui sert au soin, refuser ce qui ne sert qu'à la collecte, et savoir à tout moment où se trouve la copie.
Vous n'avez pas à choisir entre être bien soigné et rester maître de votre histoire. La loi française et européenne, sur ce terrain précis, est de votre côté. Encore faut-il s'en servir.
Sources et références : Code de la santé publique (art. L.1110-4, L.1111-7), Code pénal (art. 226-13), RGPD (art. 9), CNIL, Ameli, Haute Autorité de Santé, Agence du Numérique en Santé, Ordre national des pharmaciens, ANSSI, loi n° 2022-270 dite loi Lemoine.
